L’arrêté du 3 juillet 2025 relatif à un programme de financement destiné à renforcer la sécurité numérique des établissements de santé - Fonction « Stratégie de continuité et de reprise d'activité » a été publié le 16 juillet 2025. Il lance le troisième appel à financement du programme CaRE. Après les audits techniques et HospiConnect, ce nouveau guichet, doté de 45 millions, est dédié à l’élaboration, la sécurisation et la mise en œuvre des Plans de Continuité et de Reprise d’Activité (PCA/PRA) des établissements de santé.  

Copiloté par la Délégation au Numérique en Santé (DNS) et l’Agence du Numérique en Santé (ANS), le programme CaRE vise à améliorer significativement la cybersécurité et la résilience des établissements. Pour répondre à cet enjeu majeur, il mobilise des financements inédits, ciblés sur les domaines les plus critiques. Les domaines prioritaires sont définis dans le plan d'action du programme CaRE disponible sur ce lien. 

Deux guichets de financement de l’ANS destinés aux établissements de santé, ont été lancés en 2024 : 

• un appel à financement sur le domaine “Audits techniques : annuaires techniques et exposition sur internet”, doté d’une enveloppe de 65 M€ ;

• un appel à projet sur le domaine “HospiConnect”, doté de 1,4 M€. 

“Stratégie de continuité et de reprise d’activité” : un nouvel appel à financement pour renforcer la cybersécurité dans les établissements de santé 

Le domaine “Stratégie de continuité et de reprise d’activité” est une des priorités du programme CaRE. Il vise à inciter les établissements de santé à renforcer leur résilience en construisant puis en testant leur stratégie de continuité et de reprise d’activité, en optimisant leur système de sauvegarde et en documentant ses usages.  

Lors d’une attaque de type rançongiciel, les attaquants cherchent à chiffrer non seulement les données des établissements sanitaires, mais aussi leurs copies sauvegardées. La reprise d’activité devient alors particulièrement complexe, avec des pertes de données massives et critiques. 

Un effort particulier doit donc être porté sur la capacité des établissements à se préparer, s’organiser et réagir face à une cyberattaque, notamment en mettant en place des sauvegardes pour toutes les applications critiques. 

Cet appel à financement doté d’une enveloppe de 45 millions d’euros vise à :   

• intégrer la gestion de la continuité et reprise d'activité dans la gouvernance des établissements ; 

• définir, documenter et tenir à jour la politique et le(s) plan(s) de sauvegarde et de restauration ; 

• construire un système de sauvegarde sécurisé ; 

• tester la sauvegarde et la restauration. 

Pour aider les établissements à atteindre ses objectifs, l’ANS met à disposition des candidats une documentation complète comprenant notamment : 

• un kit PCA/PRA, conçu pour aider les établissements à formaliser et déployer leur Plan de Continuité d’Activité (PCA) et leur Plan de Reprise d’Activité (PRA) ; 

• un parcours dédié au PCRA sur ANS formation [ANS-Formation] - Coorpacademy, plateforme qui offre des contenus de formation variés et interactifs sur la e-santé, destinés aux professionnels de santé, étudiants, et industriels.  

En parallèle, les Centres Régionaux des Ressources Cyber (CRRC) sont en train de mettre en place les actions d’accompagnement spécifiques permettant de soutenir les établissements dans la réalisation de leurs objectifs. Les établissements intéressés peuvent consulter le tableau récapitulatif disponible sur le site de l’ANS, qui recense les sites internet et les contacts mail des CRRC par région. 

Compte tenu des différences de maturité et d’enjeux entre les secteurs sanitaire et médico-social, il a été décidé, en concertation avec l’écosystème, que cet appel à financement, à l’instar de celui dédié aux audits techniques, serait réservé aux établissements sanitaires, publics et privés. Une réponse spécifique est en cours d’élaboration pour le secteur médico-social, avec un appel à projets dédié dont le lancement est prévu d’ici la fin de l’année 2025. 

Démarrage de la phase opérationnelle et ouverture du guichet de candidatures 

La publication de l’arrêté, en date du 16 juillet 2025, marque le lancement officiel de la phase opérationnelle. 

À compter de cette date, les établissements éligibles peuvent engager les travaux nécessaires pour répondre aux exigences de l’appel à financement. 

Les principaux jalons de cet appel à financement sont détaillés dans les annexes de l’arrêté. 

Les établissements de santé sont invités à soumettre leur candidature sur la plateforme dédiée “eCaRE”, dont le guichet sera ouvert du 2 septembre au 31 octobre 2025. 

Un webinaire de présentation du domaine, du calendrier, des prérequis et des modalités de candidature est organisé le 22 juillet de 14h à 15h. Ce webinaire sera disponible en replay.